CVE-2026-41500

Command injection w electerm — wykonanie kodu przez złośliwe releaseInfo.name

CVSS 9.8v3.1pub. 2026-05-08

W aplikacji electerm (klient terminal/SSH/SFTP/RDP/VNC) przed wersją 3.3.8 istnieje podatność typu command injection, która umożliwia zdalnemu atakującemu wykonanie dowolnych poleceń systemowych bez uwierzytelnienia. Podatność wynika z braku walidacji danych wejściowych przekazywanych do funkcji systemowej exec().

▸ Pokaż oryginał (EN)

electerm is an open-sourced terminal/ssh/sftp/telnet/serialport/RDP/VNC/Spice/ftp client. Prior to version 3.3.8, a command injection vulnerability exists in github.com/elcterm/electerm/npm/install.js:150. The runMac() function appends attacker-controlled remote releaseInfo.name directly into an exec("open ...") command without validation. This issue has been patched in version 3.3.8.

🤖 Analiza AI

Jak działa

Funkcja runMac() w pliku npm/install.js (linia 150) bezpośrednio dołącza wartość pola releaseInfo.name — kontrolowaną przez atakującego i pobraną ze zdalnego źródła — do polecenia exec("open ...") bez żadnej sanityzacji ani walidacji. Atakujący może tak spreparować wartość releaseInfo.name, aby wstrzyknąć dodatkowe polecenia systemowe, które zostaną wykonane w kontekście procesu aplikacji. Wystarczy, że aplikacja pobierze złośliwe dane np. z podstawionego lub skompromitowanego serwera aktualizacji.

Skutki

Atakujący może zdalnie wykonać dowolne polecenia systemowe na maszynie ofiary bez konieczności uwierzytelnienia, co prowadzi do pełnego naruszenia poufności, integralności i dostępności systemu (pełne RCE).

Mitygacja

Należy zaktualizować electerm do wersji 3.3.8 lub nowszej, w której podatność została usunięta. Patch dostępny w oficjalnym repozytorium GitHub projektu (tag v3.3.8).

Kogo dotyczy

Electerm Project electerm — wszystkie wersje przed 3.3.8

Uwagi

Podatność zgłoszona i naprawiona w ramach GitHub Security Advisory GHSA-wxw2-rwmh-vr8f. Fix wprowadzony w commicie 59708b38c8a52f5db59d7d4eff98e31d573128ee.